Spring Security RegexRequestMatcher认证绕过漏洞(CVE-2022-22978)

2022年5月24日09:09:46评论11 views字数 712阅读2分22秒阅读模式

0x01 漏洞信息

漏洞名称：Spring Security RegexRequestMatcher认证绕过漏洞

漏洞编号：CVE-2022-22978

漏洞等级：高

披漏时间：2022年5月1日

Spring Security 存在认证绕过漏洞。该漏洞是由于RegexRequestMatcher过滤不严格，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行认证绕过攻击，最终造成配置的权限验证失效。

脆弱组件覆盖面	利用门槛	POC工具	EXP工具
广	低	已公开	未公开

5.6.0 <= Spring Security < 5.6.4、

Earlier versions of Spring Security、

5.5.0 <= Spring Security < 5.5.7

用户尽快排查所有应用系统应用版本是否在5.6.0 <= Spring Security < 5.6.4、Earlier versions of Spring Security、5.5.0 <= Spring Security < 5.5.7之间。若存在应用使用，极大可能会受到影响。

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：

https://spring.io/blog/2022/05/15/spring-security-5-7-0-5-6-4-5-5-7-released-fixes-cve-2022-22978-cve-2022-22976

原文始发于微信公众号（安迈信科应急响应中心）：【漏洞通告】Spring Security RegexRequestMatcher认证绕过漏洞(CVE-2022-22978)

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。